Passkeys에 대한 꿈이 깨진 이유
꿈
- 2019년 저자는 Rust를 위한 Webauthn 라이브러리 개발을 시작함
- 당시에는 이 기술이 암호를 대체할 수 있을 것이라는 낙관론이 있었음
- 2단계 인증, 암호 없는 인증, 사용자 이름 없는 인증 등을 지원할 수 있을 것으로 기대됨
- 저자가 개발한 라이브러리는 업계에 큰 영향을 미쳤음
경고 신호
- 크롬이 시장을 장악하고 있어서, 크롬이 지원하지 않으면 표준에서 제외되는 문제가 있음
- Authenticator Selection Extension이 대표적인 예시
- 미국에서 열리는 대면 회의에서 주요 결정이 이뤄지는 것도 문제
- 국제적인 참여자들이 배제되는 상황
하락세
- 2022년 Apple이 Passkeys를 발표함
- 초기에는 잘 설계된 것처럼 보였으나, 이후 리더의 발표로 인해 Passkey가 Resident Key로 정의됨
- 이는 저장 공간이 작은 보안 키를 배제하는 결과를 가져옴
- 이후 Passkey는 사용자를 플랫폼에 가두는 수단으로 변질됨
악화되는 상황
- Chrome과 Safari는 보안 키 대신 caBLE 사용을 강요함
- 사용성이 매우 떨어지는 방식
- Android는 Passkey 지원 웹사이트에서 보안 키 사용을 막음
- 개발자 예제는 구글 Passkey만 사용하도록 유도
- 사용자들이 Passkey 사용에 많은 어려움을 겪고 있음
- 버그, 복잡한 과정, 키 유실 등의 문제 발생
- Apple Keychain에서 Passkey가 삭제되는 일이 빈번히 발생
전망
- 저자는 Passkey가 일반 소비자에게는 실패할 것으로 예상함
- 기업의 이익 추구로 인해 사용자 경험이 훼손됨
- 심지어 저자의 파트너는 암호 방식이 Passkey보다 낫다고 말함
- 기업에서는 여전히 보안 키가 필요하지만, 사용성 문제는 남아있음
- 저자는 webauthn-rs 프로젝트는 계속 유지할 예정이지만, Passkey 대신 다른 방안을 모색 중
GN⁺의 의견
- Passkey가 보안 키를 배제하고 플랫폼 종속성을 심화시키는 방향으로 흘러가는 것은 우려스러운 지점임. 사용자의 선택권을 제한하는 것은 바람직하지 않아 보임.
- 기술을 발전시키면서도 사용성을 개선하는 것이 필요해 보임. 지나치게 복잡해지거나 제한적이 되어서는 안될 것 같음.
- 소수 기업의 영향력이 커지면서 표준화 과정에서 문제가 발생하는 것도 해결이 시급해 보임. 보다 개방적이고 투명한 의사결정 구조가 마련되어야 할 듯함.
- 대안으로 제시된 디바이스 인증서나 스마트카드 방식은 흥미로워 보임. 기존 Passkey의 한계를 극복하면서도 사용성을 개선할 수 있는 방안이 될 수 있을 것 같음.
- 아직은 과도기적 단계인 만큼 앞으로도 지속적인 기술 발전과 사용자 피드백 수렴이 이뤄져야 할 것으로 보임. 다양한 이해관계자가 협력하여 보다 나은 인증 체계를 만들어가기를 기대함.